Girdeji:
- Howp awynyň duýduryş däl-de, synagdan geçirilýän gipotezadan nähili başlaýandygyna we emeli intellektiň gipotezany döretmekde we gözleg işlerinde nähili kömek edýändigine düşüniň.
- Emeli intellekt bilen görkezilen ters / seýrek signalyň awtomatiki usulda erbet niýeti aňlatmaýandygyny we gipotezanyň çig subutnamalar bilen tassyklanmalydygyny ulanyp bilmek.
- Resmi çeşme bilen emeli intellekt tarapyndan berlen MITER ATT & CK tehniki belgilerini we waka belgilerini barlamak we ýasalan tehniki jikme-jiklikleri ýok etmek ukyby
Klassiki howpsuzlyk gözegçiligi "duýduryşa garaşyň, haçan gelende serediň" logikasy bilen işleýär. Mostöne iň howply hüjümçiler duýduryşlary ýokarlandyrmazlyga synanyşýarlar: kanuny gurallary ulanýarlar (bu “ekspluatasiýa” diýilýär, ýagny PowerShell, WMI ýaly ulgamda bar bolan gurallary hyýanatçylykly ulanýarlar) haýal hereket edýärler we adaty traffige päsgel berýärler. Şonuň üçin howp awlamak dünýä indi: duýduryşa garaşman, "guramamda häzir kesgitlenmedik hüjümçi bolan bolsa, ol nirede bolardy?" Sorag bilen yzlary işjeň gözlemek: Howp awlamak duýduryş däl-de, gipoteza bilen başlaýar.
Emeli intellekt howp abanmakda iki ýerde örän peýdalydyr. Birinjisi gipotezany döretmek: hüjüm usulyny beriň we "Bu usul meniň edaramda ulanylan bolsa, haýsy ýazgyda we haýsy görnüşde yz galdyrar?" Diýip soraň. sorap bilersiňiz. Ikinjisi signal çykarmak: uly maglumatlarda seýrek, daşky görnüşi "adatydan tapawutly" görkezip biler. Emma AI guramaňyz üçin adaty zady bilmeýär we gipotezanyň "subut edilendigini" pikir etmek duzagyna düşmegi mümkin. Howp awynda AI akyl hyzmatdaşy we skanerdir; Awçy (analitik) ýyrtyjynyň hakyky howp tapýandygyny ýa-da habar beriljekdigini çözýär.
Howp awynyň ädimleri
- Gipoteza. Takyk, synagdan geçirip boljak söz: "Hüjümçi, iş wagty däl wagtynda içerki ulgamy skanirläp biler." Bu ýerde beýni hüjümi üçin AI ulanyp bilersiňiz.
- Maglumat çeşmesini kesgitläň. Haýsy gündeligi gipotezany subut edýär / inkär edýär? (Mysal üçin, torda skanirlemek üçin gorag diwary we DNS ýazgylary, artykmaçlygy ýokarlandyrmak üçin şahsyýet ýazgylary.)
- Talaby düzüň. Maksatly nagşy gözlejek talap (SIEM talap dili, KQL, SQL ýaly). AI talaplary taýýarlamaga kömek edýär; emma soragy gözden geçirip, işledýärsiňiz.
- Netijäni çykaryň. Hakyky signaly ýüzlerçe setir çykyşyndan süzüň. Bu ýerde AI toparlary jemleýär we jemleýär.
- Tassykla ýa-da ret et. Çig subutnamalar we tapylan yzyň hakykatdanam zyýanlydygyny ýa-da bigünädigini tassyklaň.
- Netijäni resminama ediň we kesgitlemä öwüriň. Tapylan hakyky nagşy hemişelik kesgitlemek düzgünine öwüriň; Gipoteza şowsuz bolsa, muny hem ýazyň (negatiw netije hem maglumatdyr).
Şertler: TTP (Taktika, usullar, proseduralar - hüjümçiniň özüni alyp barş usuly). MITER ATT & CK hüjümçi tehnikalarynyň sanalan we resminamalaşdyrylan kitaphanasydyr (meselem, T1078 “Dogry hasaplar”); Howp awynda umumy dil berýär. IOC (Düzgünleriň görkezijisi - erbet IP, hash, domen). Ak ses (ak sanaw / belli-gowy) ýyrtyjyny gurban berýän adaty hereket.
Howp aw usullarynyň tablisasy
Çemeleşme
başlangyç nokady
AI-iň goşandy
Üns beriň
Gipoteza esasly aw
"Şeýle hüjümçi bolan bolsa ..."
Gipotezany döretmek, nagyş beýany
Gipoteza subutnama däl
IOK esasly aw
Belli erbet görkeziji
IOK-lary surnallara gabat getirmek
Köne / nädogry IOC ýalňyşýar
TTP / ATT & CK esasly aw
Tehnika (T-belgisi)
Tehnologiýany hasaba alyş görnüşine öwürmek
Tehnika ≠ ýeke nagyş
Anomaliýa esasly aw
Statistik gyşarma
Çykaryjyny tapawutlandyryň
Garşydaş ≠ erbet iman
Ackygylyk derňewi
"Seýrek näme?"
Seýrek duş gelýän wakany tapmak
Seýrek ≠ howply
üç sany kiçi halat
1-nji waka - Seýrek duş gelýänleri tapmak. Awçy: "Içerki ulgamdaky haýsy proses iň az kompýuterde işleýär, ýöne iň köp tor birikmesini döredýär?" gipotezasyny tassyklaýar. AI näbelli proses-baglanyşyk maglumatlaryndan bir nagşy görkezýär: diňe 2 maşynda görünýän svchost32.exe atly bir proses 340 dürli daşarky adrese birikýär. Awçy muny barlaýar; Kanuny svchost.exe-e meňzeýän zyýanly programma üpjünçiligini tapýar. AI seýrek süzüldi; Awçy diagnoz goýdy we gatyşdy.
2-nji waka - Şowsuz (ýöne gymmatly) aw. Bir awçy "iş wagty däl wagtynda köpçülikleýin maglumat göçürip alyp bolarmy?" Diýip sorady. gipotezasyny tassyklaýar; AI degişli gözleg taslamasyny ýazýar. Netije: Gije 3 ulanyjy göçürildi, ýöne üçüsi hem daşary ýurtdaky ofis işgärleri we wagt zolagynyň tapawudy sebäpli iş wagty işleýär. Bu çaklama ret edilýär. Awçy muny "negatiw netije" hökmünde dokumentleşdirýär we bu 3 ulanyjyny geljekki awlar üçin kadadan çykma hökmünde belleýär. Hatda şowsuz aw hem edarany has gowy tanamaga mümkinçilik berdi.
3-nji waka - Tehniki duzak. Awçy AI-den "Guramamda T1055 tehnikasyny nädip gözlemeli?" Diýip soraýar. diýýär. AI “T1055 aşakdaky hadysanyň şahsyýetini döredýär” diýen ynandyryjy talap we tassyklama ýazýar; emma beren hadysasynyň belgisi nädogry we model ATT & CK kiçi tehnikasyny düzdi. “Avcı” MITER ATT & CK ýazgysyny açýar, tehniki beýany we hakyky gündelik çeşmelerini tassyklaýar we hadysanyň belgisini nädogry düzedýär. Sapak: AI-iň berýän ähli tehniki jikme-jikliklerini (hadysanyň belgisi, T-belgisi, hasaba alyş meýdançasy) resmi çeşme bilen barlaň.
Gowşak haýyş / Güýçli haýyş
Gowşak haýyş:
Torumda hüjümçiniň bardygyny ýa-da ýokdugyny biliň.
Bu talap gipotezasyz, maglumatsyz, çäklendirilmedik we tassyklanmaz. AI umumy ýa-da düzülen sanawy öndürýär; peýdasy ýok.
Güýçli haýyş:
Siziň roluňyz: howp awçysyna pikir we düşündiriş berýän kömekçi. Karar bermäň, "howp bar" diýmäň. Meniň çaklamam: "Ygtybarly hasap, iş däl wagty içerki portlary skanirläp biler." Aşakdakylary dörediň: (1) bu çaklamany subut etjek we DÜZGÜN EDIP BOLAN logurnal çeşmelerini sanaň, (2) gözlenmeli anyk nagşy beýan ediň (haýsy meýdanlar, haýsy çäkler), (3) mysal gözleginiň taslamasyny ýazyň we her setiri düşündiriň, (4) netijede haýsy bigünä düşündirişleriň ýok ediljekdigini ýazyň. Degişli MITER ATT & CK tehnikasyny teklip ediň, ýöne T-belgisini we hadysanyň belgisini "[MITER-den tassyklanmaly]" diýip belläň, düzmäň.
Güýçli talap anyk bir çaklama bilen başlaýar, subutnamalaryň / ret etmegiň deňagramlylygyny kesgitleýär, talap düşündirilýär we tehniki jikme-jiklikleri barlamak üçin galdyrýar.
Göçürip bolýan gyssagly şablonlar
GIPOTESI N GENERASIEMA MESELI Meniň edaram üçin [edara: meselem. [Işjeň katalog / bulut / ahyrky nokat] 5 kontekstinde synag howpy aw gipotezalaryny dörediň. Her bir çaklama üçin: (1) haýsy hüjümçiniň özüni alyp barşyny nyşana alýar, (2) haýsy çeşme çeşmesini subut eder / ret eder, (3) garaşylýan nagyş. Umumy sözlemleri däl-de, synagdan geçirilýän sözlemleri düzüň.
TEHNIKI PATTERN PATTERN Aşakdaky hüjüm usulyny [tehniki adym] edarasynda gözlärin. Dörediň: (1) tehnikanyň adatça yzyny galdyrýan ýerleri, (2) gözlemek üçin anyk nagyşlar we çäkler, (3) bu nagşy döredip biljek bigünä (ýalan polo positiveitel) ýagdaýlar. Degişli MITRE ATT & CK T-belgisini hödürläň, ýöne "[MITER-den tassyklanmaly]" baýdagy bilen; toslanan hadysanyň belgisini / belgisini bermäň.
SORAG DRAFT TEMPLATE Aşakdaky nagşy gözleýän [SIEM / KQL / SQL] talap taslamasyny ýazyň. Talaby gözden geçirerin we işlederin; işledersiň öýdemok. Meýdanyň atlaryny bilýän shema laýyklykda "[shema dogry]" diýip belläň.
NETIJI TERJIME EDIP BOLMAK Awymyň netijesi aşakdaky setirleri berdi (näbelli): [pasta]. Olary toparlaň we her topar üçin (1) zyýanly ssenariýa, (2) azyndan 2 bigünä düşündiriş we (3) tapawutlandyrmak üçin goşmaça subutnamalar ýazyň. Karar bermek; Men seni aýyrmaga ýol berme. Subutnamasy ýok talap üçin "[esas ýok]" belläň.
Adaty ýalňyşlyklar
- Gipotezasyz aw. “Bir zady tap” diýmek, AI-ni çaklamaga we düzmäge iterýär; Aw anyk, synagdan geçirilýän söz bilen başlaýar.
- Subutnama üçin gipotezany ýalňyşdyrmak. Aw mümkinçiligi synap görýär; Tapylan yz, çig subutnamalar bilen tassyklanýança "howp" däl.
- Munuň tersini awtomatiki hasaplamak. Seýrek / çykýan köplenç bigünä (tehniki hyzmat, täze programma üpjünçiligi, bir gezeklik iş); Kontekst bilen üýtgediň.
- Tehniki jikme-jiklikleri barlamaýan. AI hadysanyň ID-si, T-belgisi we gündelik meýdany bilen gabat gelip biler; MITER ATT & CK we önüm resminamalary bilen tassyklaň.
- Biderek tutulanlary zyňmak. Negativearamaz netije bilimdir: geljekde ýalan pozitiwleri azaldyp, gurama bilen has gowy tanyşýar; resminama.
Maslahat: Gowy howp aw awlamak gipotezasy “synagdan geçirilmeli”: dogry ýa-da ýalan bolup biljek anyk talap. "Torumda erbet zat barmy?" synagdan geçirip bolmaz; "X hasaby, iş däl wagty 50-den gowrak içerki IP-e birikdimi?" synagdan geçirilip bilner.
Üns beriň: Howp awlamak diňe size ygtyýarly ulgamlarda amala aşyrylýar. AI-den başga bir guramany, bir adamy ýa-da rugsadyňyzy bolmadyk bir ulgamy "derňemegi" haýyş etmek, birugsat girmek synanyşygy we bu modulyň daşynda.
Gysgaça
Howp awy, duýduryş garaşman gizlin hüjümçiniň yzlaryny işjeň ýagdaýda gözleýär we duýduryş däl-de, gipoteza bilen başlaýar. AI bu işde iki sany güýçli goşant hödürleýär: synagdan geçirilýän gipotezalary we talap taslamalaryny döretmek we uly maglumatlardan seýrek / daşarky signallary süzmek. Emma AI guramaňyz üçin nämäniň kadalydygyny bilenok, tehniki jikme-jiklikleri düzüp biler we subutnamalar üçin gipotezany ýalňyş duzaga düşürip biler. Şeýlelik bilen awyň alty basgançagy bar (gipotezalar, maglumatlar, talap, çykarmak, barlamak, resminama) we her ädimde karar awçynyň özüne bagly. Garşydaş ≠ erbet, gipoteza ≠ subutnamalar, AI tarapyndan berlen tehniki jikme-jiklikler ≠ dogry; hemmesi çig subutnamalar we MITER ATT & CK bilen tassyklandy.
Programma meselesi
AI-den öz guramaňyz üçin “ýa-da gurşaw gurşawy” üçin “Gipoteza nesli” şablony bilen 5 sany aw awlaýyş gipotezasyny alyň. Iň synagdan geçirilýän zady saýlaň, “Nusga tehnikasy” we “Talap taslamasy” şablonlary bilen talap taýýarlaň, talapdaky her hatary tassyklaň we MITER ATT & CK-de teklip edilen T-belgini. Netijäni gysga gipotezada ýazyň (gipoteza tassyklandy, tassyklanmady, näme öwrendiňiz).
gözegçilik sanawy
- [] Awymy anyk, synagdan geçirip boljak gipoteza bilen başladym.
- [] Gipotezany subut etjek we inkär etjek gündelik çeşmelerini kesgitledim.
- [] Talap taslamasynyň her setirini gözden geçirdim we ony öz shema laýyklaşdyrdym.
- [] Teklip edilýän MITER ATT & CK tehnikasyny we waka belgilerini resmi çeşme bilen barladym.
- [] Her signaly çig subutnama we kontekst bilen tassykladym; Munuň tersini awtomatiki usulda erbet hasaplamadym.
- [] Şeýle hem şowsuz gipotezany dokumentleşdirdim (negatiw netije maglumat).
- [] Diňe aw etmäge ygtyýarym bolan ulgamlarda aw etdim.